Le organizzazioni necessitano di una visione più ampia della sicurezza per difendersi dalle minacce odierne.
In un precedente post sul blog, ho parlato del difficile equilibrio che i CIO devono trovare tra la protezione della superficie di attacco IT e il proseguimento della trasformazione digitale.
Ho scritto anche delle strategie di difesa che le organizzazioni del settore “ ” possono adottare per proteggere la propria superficie di attacco.
In questo ultimo articolo della serie, illustrerò in che modo i team di sicurezza possono avvalersi delle “cyber kill chain” per rafforzare la superficie di attacco della propria rete. I risultati auspicati mirano a identificare, ridurre o eliminare i punti deboli della rete, rafforzando le superfici di attacco attraverso l’analisi dei dati o gli effetti combinati di diverse capacità informatiche.
Tale approccio è finalizzato a contrastare le catene di attacco informatico utilizzate dagli avversari. Si ricordi che una “kill chain” è una sequenza di attività correlate tra loro, necessarie per ottenere il risultato desiderato. L'utilizzo della “kill chain” come strumento di pianificazione difensiva comporta l'analisi di ciascun anello della catena di attacco informatico al fine di elaborare strategie di protezione volte a spezzare tale anello.
I responsabili della sicurezza delle reti devono essere impeccabili in ogni momento della giornata, mentre gli autori di attacchi malevoli devono solo individuare un vettore di attacco per riuscire a colpire con successo uno o più anelli della catena di attacco informatico e compromettere una rete. L'applicazione difensiva delle "cyber kill chain" rappresenta un approccio volto a individuare le lacune nelle capacità o i punti ciechi presenti nel proprio ecosistema di sicurezza informatica.
L’obiettivo di questo articolo è quello di applicare i concetti della “cyber kill chain” per aiutare i CIO e i CISO a migliorare il proprio livello di sicurezza informatica e, in ultima analisi, ad accrescere la propria preparazione in materia di sicurezza informatica. Le catene di attacco sono utili per scomporre problemi complessi in problemi più piccoli e più gestibili.
Concentrandosi su ogni anello della catena di attacco informatico, i responsabili della sicurezza delle reti possono ottenere risultati sinergici che migliorano l’efficacia degli strumenti di sicurezza, nonché i livelli complessivi di preparazione e protezione delle loro reti. Al contrario, interrompere un anello della catena di attacco blocca un attacco. La presente analisi si concentrerà sugli approcci volti a bloccare ciascuna fase della catena di attacco informatico di Lockheed Martin.
Difesa contro le operazioni di ricognizione
La ricognizione consiste nell’acquisire una visione d’insieme dell’ambiente di destinazione. Dal punto di vista fisico, ciò comporta l’identificazione di elementi chiave del terreno, quali le colline che garantiscono visibilità o le valli che nascondono i movimenti. Dal punto di vista dell’ endpoint , la rete presenta aree chiave nel panorama informatico in cui gli avversari possono ottenere un vantaggio. Due categorie di ambiti chiave nel campo della sicurezza informatica sarebbero:
- Servizi che pubblicano informazioni relative alle candidature
- Interfacce di programmazione delle applicazioni (API) che consentono l'accesso remoto
Windows La Management Instrumentation (WMI) rappresenta un esempio di ambito informatico fondamentale. La difesa contro le attività di ricognizione, in un’ottica di “cyber kill chain”, comporterebbe il rilevamento di nuove sottoscrizioni WMI. Un altro esempio di ambito informatico fondamentale è rappresentato da servizi quali sendmail o dalle informazioni MIB relative all’ SNMP .
Da molti anni ormai, impedire l’accesso alle informazioni provenienti da tali applicazioni è considerata una buona prassi. La difesa contro le attività di ricognizione comporta l’identificazione dei principali ambiti informatici, per poi ricorrere a tecniche di rilevamento, blocco o difesa volte a ostacolare o arrestare le attività di ricognizione dell’avversario. Il risultato auspicato consiste in una combinazione tra il blocco delle informazioni e l’individuazione delle attività di ricognizione.
Difesa contro l’uso delle informazioni a fini offensivi
La fase di “weaponization” all’interno della cyber kill chain si basa sulle informazioni raccolte nella fase di ricognizione ed è vincolata dalla terza fase della cyber kill chain (la consegna).
Per “weaponization” si intende la sequenza di azioni volte a sfruttare una vulnerabilità, lo sviluppo di artefatti software destinati a compromettere una catena di fornitura del software oppure l’introduzione di software dannoso nella rete “blu”. Sebbene l’atto o il processo di “weaponizzazione” avvenga spesso su reti rosse o grigie, l’attività è studiata su misura per la rete blu presa di mira.
La difesa contro l’uso delle informazioni a fini dannosi si concentra sulla gestione della superficie di attacco, in particolare sulla riduzione e sul rafforzamento della superficie di attacco dell’organizzazione. In altre parole, questa fase della catena di attacco informatico mira a impedire agli avversari di cogliere opportunità.
L'eliminazione delle vulnerabilità note dal quadro generale aumenterà i costi per l'avversario, riducendo al contempo il rischio per la rete blu. Quasi il 60% delle violazioni dei dati andate a buon fine sfrutta le vulnerabilità dei sistemi operativi e delle applicazioni di cui le organizzazioni IT erano a conoscenza ma che non hanno corretto in tempo.
Uno dei modi migliori per difendersi dalla fase di “weaponization” nella catena di attacco informatico consiste nell’effettuare operazioni di applicazione delle patch efficaci ed efficienti, che consentano di raggiungere un elevato livello di prontezza informatica attraverso una corretta igiene informatica.
Difesa contro la consegna
La recente vulnerabilità Log4j dimostra come sia possibile eseguire codice in remoto (RCE) sfruttando un'interfaccia web per accedere a una vulnerabilità. Gli autori di attacchi malevoli dispongono di altri strumenti che possono utilizzare per diffondere codice dannoso o compiere azioni dannose.
I firewall e la segmentazione della rete possono contribuire a incanalare gli attacchi, consentendo ai responsabili della sicurezza di concentrare l’impiego degli strumenti necessari per bloccare e Detect le operazioni di trasmissione dei dati in transito. La difesa contro la diffusione di codice dannoso è un imperativo che richiede il coinvolgimento attivo degli utenti finali, degli esperti di sicurezza informatica e dei professionisti della sicurezza fisica.
Dalle unità “ USB ” infette alle richieste del browser mal formulate, fino alla visita involontaria di un sito web compromesso, la difesa contro la diffusione di codice dannoso è un’attività collettiva che richiede la formazione degli utenti, pratiche di sicurezza fisica basate sulla conoscenza delle minacce e la gestione del rischio e della resilienza.
Difendersi dallo sfruttamento
La difesa contro gli attacchi si concentra sull’identificazione del software dannoso, sull’impedimento della sua esecuzione e/o sulla correzione delle vulnerabilità, al fine di limitare l’impatto che il software dannoso può avere sul sistema. Tali concetti si sintetizzano in servizi di reputazione, controlli delle applicazioni e “igiene informatica”.
L’igiene informatica (applicazione delle patch, aggiornamento del software e corretta configurazione dello stesso) rappresenta l’approccio migliore per prevenire i “ ” (cose note) presenti nell’arsenale dell’autore dell’attacco. I CIO e i CISO possono gestire le pratiche di “igiene informatica” all’interno della propria organizzazione monitorando gli indicatori appropriati, quali il tempo medio necessario per l’applicazione delle patch o la durata del ciclo di applicazione delle patch.
La visibilità e il controllo degli endpoint su larga scala e con rapidità sono fondamentali per ottenere dati tempestivi, accurati e veritieri che caratterizzino la “cyber igiene”. L'utilizzo di servizi di reputazione e di software antivirus contribuisce a garantire un'efficace igiene informatica. Altrettanto importante è la capacità di individuare scostamenti dai comportamenti normali, eventi a rischio e indicatori di compromissione.
Mentre il primo aspetto (l’igiene informatica) riguarda la maturità e l’ottimizzazione delle prestazioni, il secondo (la ricerca di hash e l’individuazione degli IOC) richiede agilità e adattabilità.
Misure di protezione contro l'installazione
I team di sicurezza necessitano di una visibilità in tempo reale sulle installazioni software e sulle modifiche di configurazione su tutti gli endpoint, in tutte le sedi. La difesa contro la fase di installazione all’interno della cyber kill chain si concentra sulla prevenzione dell’esecuzione di codice da remoto (RCE).
Bloccare tutti gli attacchi RCE può essere molto simile a impedire tutti i reati. La gamma di misure disponibili per prevenire o ostacolare il rilevamento degli attacchi RCE spazia dall’intera gamma di strumenti antivirus e di rilevamento del malware, che identificano le firme dei software dannosi e segnalano le anomalie indicative di un rischio di compromissione.
L’applicazione della fase di installazione degli attacchi “kill chain” dovrebbe concentrarsi sulle “ ” (), ovvero quelle incognite di cui non si conosce nemmeno l’esistenza, che comprendono malware sconosciuto (potenzialmente polimorfico), attacchi tramite file sconosciuti o punti ciechi informatici (aspetti di cui non ci rendiamo conto di non essere a conoscenza).
Un ambito che i CIO e i CISO possono prendere in considerazione è lo sviluppo di un elenco di software approvati che sfrutti gli strumenti nativi del sistema operativo, come “ AppLocker” di Microsoft. Inoltre, i servizi di reputazione possono essere utilizzati per individuare in modo proattivo il software dannoso.
Coniugando tecnologia, competenze e tecniche, i CIO e i CISO possono avvalersi di approcci di sviluppo a spirale per configurare le capacità di sicurezza informatica volte a Detect, segnalare o contrastare anomalie che indicano eventi a rischio o che caratterizzano una compromissione. L’utilizzo di fonti di intelligence commerciali o open source per testare, personalizzare e ottimizzare gli avvisi contribuirà inoltre a garantire un livello di adattabilità e agilità nell’ambito delle iniziative intraprese dall’organizzazione per difendersi dalla fase di installazione della catena di attacco informatico.
Come difendersi da C2 Communications
I team di sicurezza dispongono di una serie di metodi per Detect e bloccare le comunicazioni di comando e controllo. I firewall e gli strumenti di monitoraggio della rete possono Detect individuare attività di rete sospette, quali comunicazioni con un server DNS sconosciuto o con un host remoto insolito. I team di sicurezza possono bloccare in modo proattivo molte di queste comunicazioni implementando controlli Zero Trust che, per impostazione predefinita, bloccano tutte le comunicazioni non autorizzate.
Difesa contro le azioni sugli obiettivi
La difesa contro le azioni rivolte agli obiettivi si concentra sulla limitazione dell’accesso e sull’impedire che un attore malintenzionato riesca a raggiungere gli obiettivi desiderati. In parole semplici, l’obiettivo è quello di chiudere a chiave ogni porta e costringere l’autore dell’attacco a impegnarsi a fondo per ottenere ogni piccolo vantaggio.
Si presume che maggiore è il volume di lavoro svolto da un attore, maggiore sia la probabilità che venga individuato. Segnalare attività anomale può rappresentare una sfida se gli avvisi non sono basati sulle minacce e guidati dalle informazioni di intelligence. Si consiglia di utilizzare , MITRE ATT&CK o e Shields Up della CISA come fonti di intelligence per orientare le riunioni del team di sicurezza volte allo sviluppo di avvisi pertinenti. La sicurezza degli endpoint costituisce un’ultima e fondamentale linea di difesa contro la kill chain.
Per aumentare l'efficacia, è opportuno assicurarsi che tutti gli strumenti di sicurezza che forniscono tali protezioni funzionino in perfetta sinergia. Gli strumenti che si integrano a vicenda possono rivelarsi fondamentali per contrastare uno o più anelli della catena di attacco informatico. I dati rappresentano un fattore chiave per ottenere un vantaggio decisionale; una piattaforma predisposta per i dati, in grado di integrarsi con altri strumenti e di garantire al contempo visibilità e controllo su larga scala con rapidità, fornirà approfondimenti, sicurezza e fiducia.
La piattaforma " Tanium " per la difesa dagli attacchi della kill chain
Tanium offre un’unica piattaforma di sicurezza endpoint in grado di fornire dati completi, accurati e in tempo reale endpoint , indipendentemente dalla portata e dalla complessità. La nostra piattaforma, disponibile come servizio cloud veloce, flessibile e scalabile, comprende moduli per:
- Asset per l’individuazione e l’inventario, che aiuta i team IT a individuare e monitorare gli endpoint in tutte le sedi
- Risk e la gestione della conformità, compresa la gestione delle patch
- per la ricerca delle minacce, compresi strumenti per l’analisi e la risoluzione delle minacce prima che compromettano le operazioni
- per la gestione dei clienti, comprensivo di funzionalità per la gestione e la risoluzione dei problemi degli endpoint in tempo reale
- Monitoraggio dei dati sensibili, compresi l’audit e l’automazione dei controlli di accesso
Per scoprire in che modo la piattaforma Tanium possa aiutare la Sua organizzazione a difendersi dagli attacchi di tipo “kill chain”, o fissi una demo all’indirizzo.
Per approfondire l’argomento e scoprire come proteggere la superficie di attacco IT della vostra organizzazione, consultate l’intera serie qui:
